| Resolución | PS-00606-2025 |
| Firmado | 2026-03-01T00:00:00Z |
| Enlace | 📋 |
**Resumen de la resolución:**
La empresa **IBERANUNCIOS SL** ha sido sancionada tras sufrir un ciberataque que expuso los datos personales de aproximadamente **4 millones de usuarios** de su portal *tucasa.com*. El incidente consistió en un **acceso no autorizado mediante inyección SQL**, que permitió extraer datos como nombres, correos electrónicos y credenciales de acceso. Aunque la empresa notificó la brecha y comunicó el incidente a los afectados, no implementó medidas adecuadas para garantizar la confidencialidad e integridad de los datos, como el cifrado en reposo o la eliminación de versiones obsoletas del portal con vulnerabilidades conocidas.
La reclamación fue presentada por un usuario que recibió la comunicación del incidente, señalando la gravedad de la filtración y la falta de diligencia de la empresa.
**Sanción impuesta y motivo:**
La infracción afecta al **artículo 5.1.f del RGPD**, que exige que los datos personales se traten con medidas técnicas y organizativas adecuadas para garantizar su seguridad. El volumen de afectados, la sensibilidad de los datos comprometidos (incluidas credenciales) y la negligencia en la protección (versiones antiguas del portal, ausencia de cifrado) agravaron la sanción.
Originalmente, se propuso una multa de **15.000 euros**, pero al reconocer la empresa su responsabilidad y efectuar el pago voluntario con los descuentos aplicables (**40% reducido por pago y reconocimiento**), la sanción final se fijó en **9.000 euros**. La terminación del procedimiento se produjo tras el pago y la renuncia a recursos administrativos.
La resolución subraya que las medidas correctivas adoptadas *posteriores* al incidente no eximen de responsabilidad por la vulneración previa del principio de integridad y confidencialidad.